Loïc Hoguin

يمكن لطرف عن بعد غير مصرح له أن يتسبب في استنفاد الذاكرة في نقطة نهاية HTTP/2. تحدث هذه المشكلة لأن الدالة `cow http2 machine:headers decode/4` في `src/cow http2 machine.erl` تستخدم `cow hpack:decode/3` لفك تشفير كتل HEADERS دون فرض حد على حجم قائمة الرؤوس المفكوكة، متجاهلة `SETTINGS MAX HEADER LIST SIZE` المحددة في RFC 9113. يمكن للمهاجم تخزين قيمة رأس كبيرة (تصل إلى 4096 بايت) في الجدول الديناميكي ثم الإشارة إليها عدة مرات باستخدام حقول مفهرسة بحجم بايت واحد. يسمح هذا لكمية صغيرة من حركة مرور الشبكة بالتوسع إلى تخصيص كبير في الذاكرة. على سبيل المثال، يمكن لكتلة بحجم 110 بايت أن تُفكك إلى قائمة رؤوس بحجم 390 كيلوبايت تقريبًا. عندما يقوم مستهلك، مثل Cowboy باستخدام `cowboy http2:headers to map/2` بدمج حقول `cookie` المتكررة في ملف ثنائي واحد، فإنه يخصص هذا الحجم الموسع لكل تدفق (stream)، مما قد يؤدي إلى نفاد الذاكرة في Erlang VM.

يؤدي الترميز أو التهرب غير الصحيح للمخرجات في الدالة `cow link:link/1` إلى إمكانية تهريب توجيهات رأس Link. تقوم الدالة `cow link:do link/1` بإدراج عنوان URI الهدف وقيمة `rel` ومفاتيح السمات مباشرةً في رأس Link المتسلسل دون إجراء عملية الهروب أو التحقق من صحة قواعد الرموز. وعلى وجه التحديد، يمكن أن يؤدي وجود بايت `>` في الهدف إلى إغلاق خانة URI قبل الأوان، مما يتيح إضافة إدخالات ارتباط غير مصرح بها. بالإضافة إلى ذلك، يمكن أن يؤدي وجود حرف `”` أو `` في قيمة `rel` إلى تجاوز السلسلة الموضوعة بين علامتي اقتباس لفتح معلمات جديدة، ويتم إخراج أي بايت في مفتاح السمة حرفياً. وهذا قد يجبر المتصفحات على إجراء اتصالات خارج النطاق إلى مصادر يسيطر عليها المهاجم من خلال توجيهات مثل `rel=“preconnect”` و`rel=’preload‘` و`rel=“prerender"`.

يمكن لأحد الأقران عن بُعد غير المصادق عليه عبر بروتوكول HTTP/2 أو HTTP/3 أن يتسبب في حدوث هجوم «رفض الخدمة» (DoS) عن طريق استنفاد الذاكرة على الخادم أو العميل. توجد المشكلة في وحدة فك الترميز للأعداد الصحيحة المسبوقة ببادئة HPACK و QPACK `cow hpack common:dec big int/3` (التي يتم استدعاؤها من `cow hpack:decode/2` و `cow qpack:decode field section/3`)، والتي تفشل في فرض قيود على عدد بايتات الاستمرار، أو عرض البت الناتج، أو القيمة النهائية. نظرًا لأن الأعداد الصحيحة في Erlang غير قابلة للتغيير، فإن كل تحديث يخصص عددًا كبيرًا جديدًا (bignum)، مما يؤدي إلى تخصيص مؤقت للذاكرة يتزايد تبعًا للتربيع بالنسبة إلى الطول المشفر. يمكن لتمثيل مفهرس HPACK واحد بأقصى حجم داخل إطارات HTTP/2 HEADERS و CONTINUATION أن يؤدي إلى تخصيص مئات الميغابايت من الذاكرة وعمليات إزالة القمامة، مما قد يؤدي إلى استنفاد ذاكرة Erlang VM عند استخدام اتصالات متكررة أو متزامنة.

يمكن لمهاجم عن بُعد غير مُصادق عليه استنفاد ذاكرة عملية الاتصال عبر HTTP/1.1. يقوم معالج HTTP/1.1 في `cowboy http` بفرض حد `max headers` عن طريق حساب أسماء الرؤوس المختلفة. إذا احتوى الطلب على عدة أسطر رؤوس تحمل الاسم نفسه، يتم ربط القيم معًا في ملف ثنائي واحد تحت مفتاح خريطة واحد، مما يمنع الوصول إلى الحد الأقصى لـ `max headers`. ونظرًا لعدم وجود حد أقصى لعدد أسطر الرؤوس الإجمالي أو الحجم الإجمالي بالبايت لكتلة الرؤوس، يمكن للمهاجم إرسال العديد من أسطر الرؤوس التي تحمل الاسم نفسه لزيادة الذاكرة الثنائية لعملية الاتصال. إذا لم يتم تعيين `max heap size`، فقد يؤدي ذلك إلى حالات نفاد الذاكرة في آلة Erlang الافتراضية (VM).

يؤدي التعطيل غير السليم لتسلسلات CRLF في رؤوس HTTP إلى إمكانية تقسيم استجابة HTTP عبر بايتات غير VCHAR في قيم سلاسل الحقول المنظمة. تقوم الدالة `escape string/2` في `cow http struct hd` بتحويل علامات الباكسلش فقط والعلامات المزدوجة، بينما تمرر البايتات الأخرى كما هي. وهذا يخلق عدم تناسق حيث يقبل المحلل فقط أحرف ASCII القابلة للطباعة، بينما يصدر المشفر أي بايت، بما في ذلك علامة العودة (CR) وعلامة التقدم (LF). يمكن أن تتعرض أي تطبيق يقوم بإنشاء رأس HTTP منظم عبر `item/1` في `cow http struct hd` (أو غلافات مثل `wt protocol/1` في `cow http hd`) باستخدام مدخلات يتحكم فيها المهاجم، إلى حقن تسلسلات CRLF. تؤدي هذه التسلسلات إلى إنهاء الرأس الحالي، مما يتسبب في تفسير البايتات اللاحقة على أنها رأس جديد.

يسمح الاستهلاك غير المنضبط للموارد في الوحدة النمطية `gun http` لخادم ضار باستنفاد ذاكرة العميل من خلال التخزين المؤقت غير المحدود لاستجابات HTTP/1.1. في الدالة `handle()/5`، تقوم ثلاث جمل بتجميع بيانات TCP الواردة في المخزن المؤقت للاتصال باستخدام التسلسل الثنائي دون فحص الحد الأعلى. وعلى وجه التحديد، تقوم الجملة head بإلحاق البيانات حتى يتم العثور على علامة إنهاء الرأس، وتقوم الجملة `body chunked` بإلحاق البيانات عندما تشير الدالة `cow http te:stream chunked()/2` إلى حدود جزء غير مكتمل، وتقوم الجملة `body trailer` بإلحاق البيانات حتى يتم العثور على علامة الإنهاء الختامية. إذا لم تصل علامة الإنهاء المتوقعة أبدًا، فإن الذاكرة المؤقتة الثنائية تنمو إلى ما لا نهاية في هذه الحالة. يمكن لخادم ضار استغلال هذه الثغرة عن طريق إرسال استجابة جزئية لا تكتمل أبدًا، مما يؤدي إلى نمو غير محدود في الذاكرة المؤقتة (heap). ونظرًا لأن BEAM لا يفرض حدودًا للذاكرة المؤقتة لكل عملية بشكل افتراضي، فإن اتصالًا واحدًا يمكن أن يستنفد كل الذاكرة المتاحة على العقدة، مما يؤدي إلى تعطل على مستوى العقدة بسبب نفاد الذاكرة.

تسمح ثغرة في الوحدة النمطية `gun http` لخادم HTTP ضار بإجبار العميل على الدخول في وضع البروتوكول الخام (raw protocol mode) عن طريق إرسال استجابة 101 Switching Protocols غير مطلوبة. في الدالة `handle inform/8`، يتحقق البرنامج من صحة بناء جملة رأس Upgrade ومرجع الدفق، لكنه يفشل في التحقق مما إذا كان العميل قد طلب بالفعل ترقية عبر رؤوس Upgrade أو Connection: upgrade. ونتيجة لذلك، يؤدي أي استجابة 101 إلى تشغيل رسالة `gun upgrade` وتحويل الاتصال إلى وضع البروتوكول الخام. في هذا الوضع، يقوم `gun raw` بتعطيل التحكم في التدفق وإعادة تفعيل الوضع النشط للمقبس بعد كل حزمة، مما يمكّن الخادم من إغراق العميل ببايتات عشوائية. يتم إعادة توجيه هذه البايتات كرسائل `gun data` غير محدودة، مما قد يستنفد صندوق بريد العملية المالكة وذاكرة BEAM، مما يؤدي إلى تعطل الآلة الافتراضية.

يسمح خطأ في التحقق من مصدر الوحدة النمطية `gun http2` بإدخال ملفات تعريف الارتباط عبر مصادر مختلفة من خلال سلطة PUSH PROMISE في HTTP/2 لم يتم التحقق من صحتها. في الدالة `push promise frame()`، يتم تخزين الرأس الزائف `:authority` من إطار PUSH PROMISE الوارد في سجل الدفق الموعود دون التحقق من مطابقته لمصدر الاتصال. بعد ذلك، تستدعي الدالة `headers frame()` الدالة `set cookie header()` باستخدام هذه الصلاحية غير المصادق عليها. ينتهك هذا السلوك معايير البروتوكول التي تتطلب من المستلمين التعامل مع عمليات الدفع للموارد التي لا يمتلك الخادم سلطة عليها على أنها أخطاء في البروتوكول. يمكن لخادم HTTP/2 ضار أو مخترق استغلال ذلك لزرع ملفات تعريف الارتباط لنطاقات طرف ثالث عشوائية في مخزن ملفات تعريف الارتباط المشترك للعميل، مما قد يؤدي إلى تثبيت الجلسة أو الاستيلاء على الحساب. يمكن استغلال هذه الثغرة عندما يتم تكوين البرنامج باستخدام `cookie store` ويتصل بخادم HTTP/2 مع تمكين ميزة الدفع من الخادم.

يؤدي التعامل غير السليم مع البيانات شديدة الضغط إلى تضخيم البيانات، مما يسمح لمهاجم بعيد غير مصدق عليه بالتسبب في رفض الخدمة عن طريق استنفاد الذاكرة. تقوم الدالة `cow spdy:inflate/2` بتمرير البايتات المضغوطة من نظير إلى `zlib:inflate/2` دون حد لحجم المخرجات. ونظرًا لأن قاموس ضغط رؤوس SPDY (`?ZDICT`) عام، ولأن zlib يمكنها ضغط البايتات المتكررة بنسبة تبلغ حوالي 1024:1، فإن حمولة إطار SPDY صغيرة يمكن أن يتم فك ضغطها لتصل إلى غيغابايتات في كومة BEAM، مما يؤدي إلى حالة نفاد الذاكرة (OOM) التي تؤدي إلى إيقاف تشغيل العقدة. ويمكن أن تحدث هذه الحالة بفعل إطار SPDY واحد غير مصدق عليه. تؤثر الدالة `cow spdy:parse headers/2` على محللات أنواع الإطارات `syn stream` و`syn reply` و`headers`. تؤثر هذه المشكلة بشكل خاص على التطبيقات التي تستخدم `cow spdy:parse/2` لتحليل إطارات SPDY الواردة من أقران غير موثوق بهم.

تسمح مشكلة في تحليل رؤوس multipart لمهاجم غير مصدق الهوية بالتسبب في رفض الخدمة عبر تراكم غير محدود للمخزن المؤقت. تقوم الدالة `read part()` في `src/cowboy req.erl` بتجميع بايتات الطلبات الواردة في ملف ثنائي Buffer دون فحص الحد الأعلى. وعندما تُرجع الدالة `parse headers()` المزيد من البيانات، تستمر الدالة في القراءة والتكرار باستخدام مخزن مؤقت متضخم. من خلال إرسال طلب `multipart/form-data` لا ينتج عنه أبدًا قسم رأس كامل — مثل الطلب الذي يفتقد إلى محدد الحدود أو التسلسل ` ` — يمكن للمهاجم إجبار الخادم على تراكم الذاكرة بشكل خطي، مما قد يؤدي إلى استنفاد ذاكرة BEAM من خلال بضع عمليات تحميل متزامنة. يحدث هذا عندما تستدعي نقطة نهاية HTTP الدالة `read part/1,2` لمعالجة نصوص الطلبات.

يؤدي التعطيل غير السليم لتسلسلات CRLF (حقن CRLF) إلى تمكين تقسيم أحداث SSE وحقنها من خلال قيم الحقول غير المصادق عليها. تحمي الدالة `cow sse:event/1` الحقلين `id` و`event` من ` ` ولكنها لا تحميهما من `r`، في حين أن الدالة الداخلية `prefix lines/2` المستخدمة لحقول البيانات والتعليقات لا تقسم إلا عند ` `. نظرًا لأن مواصفات SSE تعامل `r ` و`r` و` ` على أنها علامات إنهاء سطر متكافئة، يمكن للمهاجم الذي يتحكم في هذه الحقول حقن أسطر SSE إضافية لتزوير أحداث ذات أنواع وحمولات بيانات تعسفية. في البيئات التي يقوم فيها عملاء EventSource في المتصفح أو مستهلكو SSE الآخرون بعرض `event.data` أو التوزيع بناءً على `event.type`، يمكن أن يؤدي ذلك إلى التلاعب بالمنطق من جانب العميل وسلوك مكافئ لـ XSS المخزّن عند إدراج البيانات في DOM.

تسمح مشكلة استهلاك الموارد غير الخاضعة للرقابة في الوحدة النمطية `cow http te` بتخصيص مفرط. يقبل محلل ترميز النقل المقسم إلى أجزاء (chunked transfer-encoding parser) عددًا غير محدود من الأرقام السداسية العشرية في حقل حجم الجزء (chunk-size). يؤدي كل رقم إلى عملية ضرب في الأعداد الكبيرة (bignum multiplication)، مما ينتج عنه عمل وحدة المعالجة المركزية (CPU) من الدرجة O(N²) واستخدام الذاكرة من الدرجة O(N) لـ N رقمًا سداسيًا عشريًا. عندما يتم تغذية المدخلات بشكل متقطع، يتخلص المحلل من الطول المتراكم عند القراءات الجزئية وإعادة التشغيل، مما يزيد التكلفة إلى O(N³). يمكن لمهاجم بعيد غير مصدق أن يتسبب في رفض الخدمة عن طريق استنفاد وحدة المعالجة المركزية (CPU) وتضخيم الذاكرة عن طريق إرسال طلب HTTP/1.1 مع `Transfer-Encoding: chunked` وسلسلة سداسية عشرية طويلة بشكل مفرط لحجم القطعة. ترتبط هذه المشكلة بالملف `src/cow http te.erl` والدالتين `cow http te:stream chunked/2` و`cow http te:chunked len/4`.

تحدث عملية «التحييد غير السليم لتسلسلات CRLF» (حقن CRLF) عندما تقوم الدالة `cow cookie:cookie/1` بإنشاء رأس طلب ملف تعريف الارتباط (Cookie) من جانب العميل من أزواج الاسم-القيمة دون التحقق من صحة الحقول. يمكن للمهاجم الذي يتحكم في هذه الأسماء أو القيم حقن أحرف مثل ;، ،، CR، LF، أو TAB في الرأس المتسلسل. وهذا يسمح بتهريب ملفات تعريف الارتباط، حيث يتم إدخال ملفات تعريف ارتباط وهمية ليتم التعامل معها على أنها أصلية من قبل الخادم المستقبل، وتقسيم رأس طلب HTTP، مما يتيح إضافة رؤوس تعسفية أو تهريب طلب ثانٍ ضد وكيل مشترك في اتجاه التيار.